payever Checkout – Composable Payment Gateway
payever Checkout – Composable Payment Gateway: caricamento di file pericolosi, sfruttabile via rete senza account
Il problema, secondo i dati ufficiali
- payever Checkout – Composable Payment Gateway ha una vulnerabilità classificata come «caricamento di file pericolosi» (CWE-434).
- Secondo la valutazione ufficiale (CVSS) si sfrutta via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
- Impatto dichiarato: lettura di dati riservati (impatto alto), modifica di dati o del sistema (impatto alto), blocco del servizio (impatto alto).
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- payever Checkout – Composable Payment Gateway: fino alla 4.8.0 inclusa
Fonti ufficiali
- www.wordfence.com — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
Descrizione ufficiale (in inglese)
The payever – WooCommerce Gateway plugin for WordPress is vulnerable to arbitrary file upload leading to remote code execution in various versions up to, and including, 4.8.0. Three WooCommerce-API callbacks (payever_set_sandbox_api_keys, payever_toggle_subscription, payever_synchronization_incoming) are registered with no authentication, capability check, or nonce, and the upload_image() routine writes a remotely fetched file to the public uploads directory using an attacker-controlled basename() BEFORE validating the file type. This makes it possible for unauthenticated attackers to write an executable PHP file and achieve remote code execution. NOTE: the token-recovery leg of the full chain depends on the plugin's outbound validateToken() call to Payever's service; the unauthenticated hard-coded-credential identity overwrite (CWE-862/CWE-798) is independently exploitable.
Non sai se ti riguarda?
Se usi payever Checkout – Composable Payment Gateway e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Scheda compilata in automatico dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 8 novembre 2026. Prima di intervenire verifica l'avviso del produttore.